¿Qué son el derecho vinculante, el derecho indicativo y los estándares de IA?
Regulación de la IA: conceptos, instituciones y normas
El derecho vinculante (hard law) es derecho de obligado cumplimiento: leyes, reglamentos, decisiones ejecutivas y obligaciones derivadas de tratados. El derecho indicativo (soft law) es orientación no vinculante: principios, códigos y expectativas oficiales que influyen en el comportamiento sin crear la misma obligación jurídica directa. Un estándar de IA es un documento técnico o de gestión estructurado, generalmente emitido por un organismo de normalización, que establece terminología, requisitos, controles o métodos de prueba para la IA. En la práctica, la gobernanza de la IA utiliza los tres conjuntamente: el derecho fija las obligaciones, el derecho indicativo las interpreta, y los estándares ayudan a convertirlas en controles reproducibles y evidencia documentada.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Si una norma establece una obligación y un regulador o tribunal puede hacerla cumplir, se trata de derecho vinculante. Si un organismo público, una organización internacional o un regulador publica principios, orientaciones o un código destinado a guiar la conducta, pero que no funciona como una ley, se trata de derecho indicativo.
Un estándar de IA es algo distinto. Suele ser un documento de consenso que traduce ideas amplias como transparencia, documentación, gestión de riesgos o supervisión en controles reproducibles, definiciones o criterios de evaluación. Algunos estándares de IA se refieren a sistemas de gestión, otros a terminología, otros a procesos del ciclo de vida, otros a la evaluación de impacto y otros a requisitos relacionados con la auditoría.
La razón por la que se confunden estas categorías es que con frecuencia funcionan de manera conjunta. Una ley puede remitir a un estándar como una vía aceptada para demostrar el cumplimiento. Un regulador puede utilizar el derecho indicativo para explicar cómo interpreta una norma legal. Un cliente puede exigir la certificación frente a un estándar en un proceso de contratación, lo que puede hacer que un documento voluntario sea difícil de ignorar en la práctica comercial.
Por qué importa
Para las organizaciones que desarrollan, adquieren, despliegan o gobiernan IA, la distinción es práctica, no académica. El derecho vinculante indica qué es obligatorio y qué puede desencadenar medidas de cumplimiento, responsabilidad, obligaciones de notificación o problemas de acceso al mercado. El derecho indicativo señala qué esperan los supervisores, los responsables de políticas y los organismos internacionales que las organizaciones responsables sean capaces de explicar y documentar. Los estándares indican cómo organizar el trabajo para que la evidencia exista cuando un consejo de administración, un comprador, un auditor o un regulador la solicite.
Confundir las categorías genera distintos tipos de riesgo. Si se trata el derecho indicativo como irrelevante, se puede perder de vista la dirección que toman la supervisión, la contratación y el escrutinio de los inversores. Si se trata cada estándar como legalmente obligatorio, se puede malgastar tiempo en controles que no son necesarios para el perfil de riesgo real o la jurisdicción correspondiente. Una buena gobernanza de la IA depende de saber qué instrumentos son vinculantes, cuáles son persuasivos y cuáles constituyen evidencia útil.
Cómo funciona
El derecho vinculante crea obligaciones exigibles
El derecho vinculante es la parte del marco normativo que obliga a personas y organizaciones en virtud de la ley. En el ámbito de la IA, puede incluir leyes, reglamentos, decisiones vinculantes y, cuando proceda, tratados. Estos instrumentos se elaboran mediante procesos jurídicos formales y pueden ser aplicados por tribunales, autoridades de supervisión u otros organismos públicos.
En la práctica, el derecho vinculante suele establecer obligaciones en términos relativamente generales y añade después mecanismos de cumplimiento. Una norma de IA vinculante puede exigir gestión de riesgos, supervisión humana, transparencia, documentación, mantenimiento de registros, gestión de incidentes o vigilancia del mercado, y también puede definir quién es responsable, qué autoridad supervisa el cumplimiento y qué sanciones o restricciones se aplican.
Ejemplo actual: el EU AI Act es derecho vinculante. Para determinados sistemas de IA de alto riesgo exige documentación técnica, conservación de documentación, mantenimiento de registros, gestión de la calidad y una declaración de conformidad de la UE. No se trata de medidas de gobernanza opcionales, sino que forman parte de la arquitectura jurídica para comercializar o poner en servicio los sistemas pertinentes.
El derecho indicativo orienta la interpretación, las expectativas y la supervisión
El derecho indicativo abarca instrumentos no vinculantes que moldean el comportamiento sin funcionar como una ley. En el ámbito de la IA, incluye principios intergubernamentales, orientaciones de reguladores, marcos oficiales, avisos interpretativos y códigos de conducta. Por lo general, no crean la misma obligación jurídica directa que una ley o un reglamento, pero pueden tener una gran relevancia.
El derecho indicativo es útil porque la IA evoluciona más rápido que la legislación. Los organismos públicos pueden actualizar orientaciones, expectativas sectoriales o prácticas de documentación con mayor rapidez que la que requiere modificar leyes. Esto convierte al derecho indicativo en un puente importante entre las obligaciones jurídicas duraderas y la práctica técnica en constante cambio.
Los Principios de IA de la OECD son un buen ejemplo de derecho indicativo a nivel internacional. Establecen una base de política compartida para una IA fiable y han servido como punto de referencia para la política nacional de IA. El Marco de Gestión de Riesgos de IA del NIST es otro ejemplo. Está concebido para uso voluntario, pero ofrece a las organizaciones una estructura reconocida para la gobernanza, la identificación, la medición y la gestión de los riesgos de la IA.
Un estándar de IA convierte expectativas amplias en controles reproducibles
Un estándar de IA es un documento formal emitido por un organismo de normalización que especifica terminología, requisitos, procesos, métodos o criterios de evaluación relevantes para los sistemas de IA. No es lo mismo que una ley ni lo mismo que una nota de orientación de un regulador.
Esto importa porque "estándar de IA" no es un único documento ni un único tema. El panorama de estándares incluye estándares de vocabulario y terminología, estándares de sistemas de gestión, orientaciones sobre gestión de riesgos, estándares de procesos del ciclo de vida, estándares de evaluación de impacto y estándares relacionados con la auditoría. Las páginas de estándares de IA de ISO muestran que la normalización en IA abarca ahora conceptos, gobernanza, riesgo, impacto y garantía, en lugar de un único reglamento.
ISO/IEC 42001 es un punto de referencia útil porque es un estándar de sistema de gestión. Ayuda a una organización a establecer, implementar, mantener y mejorar continuamente un sistema de gestión de IA. Esto es diferente de un estándar de terminología, que define conceptos, o de un estándar de ciclo de vida, que describe los pasos del proceso, o de un estándar de evaluación de impacto, que estructura cómo se identifican y documentan los impactos.
La ley, las orientaciones y los estándares interactúan en lugar de competir
En los regímenes maduros de gobernanza de la IA, las tres capas suelen funcionar de manera conjunta. La ley establece el requisito obligatorio. El derecho indicativo explica las expectativas regulatorias, la práctica supervisora o una vía preferida de implementación. Los estándares ofrecen una forma estructurada de operacionalizar el requisito y producir evidencia de que el trabajo se ha realizado.
El EU AI Act ilustra claramente esta interacción. Permite que los estándares armonizados apoyen el cumplimiento. Cuando los estándares armonizados pertinentes se publican en el Diario Oficial de la Unión Europea, su aplicación puede otorgar al proveedor una presunción de conformidad para los requisitos cubiertos. Si los estándares no existen, están incompletos o no se utilizan, la obligación jurídica no desaparece. El proveedor sigue teniendo que demostrar el cumplimiento, y la vía de evaluación de la conformidad puede volverse más exigente. La norma también permite especificaciones comunes como alternativa cuando los estándares faltan o son insuficientes.
El derecho indicativo puede integrarse en la misma cadena. En el marco de el AI Act, los códigos de conducta están diseñados para ayudar a los proveedores de modelos de IA de uso general a demostrar el cumplimiento antes de que los estándares estén disponibles, o junto a ellos. Esto no convierte el código en una ley, pero sí lo hace operativamente importante.
Estos instrumentos generan distintos tipos de evidencia
Una forma útil de distinguir las tres categorías es preguntarse qué tipo de evidencia exige o produce cada una. El derecho vinculante tiende a requerir evidencia jurídicamente significativa: documentación técnica, registros, declaraciones, avisos, evaluaciones, inscripciones y expedientes que una autoridad puede inspeccionar. El derecho indicativo suele generar evidencia de gobernanza: políticas, criterios de riesgo, definiciones de funciones, vías de escalada de incidencias, prácticas de seguimiento y explicaciones de cómo la organización interpreta el uso responsable. Los estándares suelen crear evidencia de proceso: diseño de controles, métodos de prueba, inventarios de sistemas, registros de revisión por la dirección, registros de auditoría interna y artefactos de garantía.
Por eso los estándares y el derecho indicativo importan incluso cuando son voluntarios. Ayudan a las organizaciones a construir una base de evidencia que puede respaldar el cumplimiento legal, la contratación, la supervisión del consejo de administración y la garantía externa. ISO también señala que la certificación es la garantía escrita de un organismo independiente y que, en algunos sectores, la certificación puede convertirse en un requisito legal o contractual.
No todo marco reconocido es un estándar
Hay una distinción final que es fácil pasar por alto. Un marco puede ser muy influyente sin ser un estándar formal. El AI RMF del NIST es uno de los ejemplos más claros. Es un marco voluntario emitido por un organismo público, no un estándar ISO o IEC ni una ley. Eso no lo hace menos útil. Simplemente significa que se sitúa en la capa del derecho indicativo y las orientaciones, a menos que un contrato, un proceso de contratación o un regulador lo incorpore efectivamente a una obligación vinculante para una organización concreta.
Ejemplos
Ejemplo actual: un proveedor que desarrolla un sistema de IA de alto riesgo para el mercado de la UE comienza por identificar las obligaciones jurídicas del AI Act. Si existen estándares armonizados que cubren los requisitos pertinentes y están referenciados en el Diario Oficial, el proveedor puede utilizarlos para respaldar la evaluación de la conformidad y obtener una presunción de conformidad para los puntos cubiertos. Si esos estándares no existen, se utilizan solo parcialmente o están restringidos, el proveedor sigue teniendo obligaciones jurídicas y puede necesitar una vía de evaluación diferente, incluida en algunos casos la intervención de un organismo notificado.
Un segundo flujo de trabajo se sitúa en la capa del derecho indicativo. Una organización que despliega IA internamente puede utilizar el AI RMF del NIST para asignar responsabilidades a través de funciones de gobernanza, identificar el uso previsto y las partes afectadas, medir los riesgos y documentar cómo se gestionarán a lo largo del tiempo. Esto no sustituye al cumplimiento legal, pero crea un modelo operativo disciplinado que los equipos pueden aplicar en las funciones de producto, riesgo, legal y garantía.
Un tercer flujo de trabajo muestra cómo los estándares se vuelven comercialmente vinculantes. Un comprador puede exigir que un proveedor cuente con certificación frente a ISO/IEC 42001, o que aporte evidencia equivalente de un sistema de gestión de IA, antes de realizar una compra o renovar un contrato. ISO explica que la certificación es la garantía escrita de un organismo independiente y que, en algunos sectores, puede ser un requisito legal o contractual. El estándar sigue siendo voluntario en términos generales, pero no necesariamente en esa relación comercial concreta.
Malentendidos frecuentes
"El derecho indicativo es opcional, así que no importa." Incorrecto. El derecho indicativo puede no ser vinculante como una ley, pero con frecuencia moldea las expectativas de los supervisores, la contratación, la garantía y la futura elaboración de normas.
"Un estándar es básicamente lo mismo que una ley." No. Un estándar suele ser voluntario, a menos que una ley, un contrato, una norma de contratación o una vía de certificación le otorgue fuerza vinculante en un contexto específico.
"Si nos certificamos frente a ISO/IEC 42001, cumplimos la ley en todas partes." No. La certificación puede reforzar la gobernanza y aportar evidencia de garantía, pero no satisface automáticamente todas las obligaciones en materia de IA, privacidad, protección del consumidor, seguridad de productos, empleo o requisitos sectoriales específicos.
"NIST AI RMF es una ley de IA." No. Es oficial e influyente, pero es un marco voluntario.
"El derecho vinculante siempre ofrece instrucciones técnicas precisas." Por lo general, no. Los legisladores suelen establecer obligaciones en términos amplios y se apoyan después en estándares, especificaciones comunes, orientaciones y práctica de cumplimiento para concretar su aplicación.
Riesgos y límites
Estas categorías son útiles, pero no son compartimentos estancos. Los instrumentos pueden desplazarse entre ellas. Un estándar voluntario puede volverse prácticamente obligatorio a través de la contratación. Un código de conducta puede convertirse en un elemento central para demostrar el cumplimiento aunque no sea en sí mismo legislación. La orientación de un regulador puede ser formalmente no vinculante y, aun así, ser muy relevante para el riesgo de cumplimiento.
También existen límites a lo que los estándares pueden hacer. Los estándares ayudan a estructurar controles, terminología y evaluación, pero no resuelven las decisiones políticas sobre derechos, usos aceptables, responsabilidad o rendición de cuentas democrática. Esas son cuestiones jurídicas e institucionales. Los estándares pueden apoyar esas decisiones, no sustituirlas.
El estatus jurídico de un instrumento determinado también depende de la jurisdicción y el momento. En el marco del EU AI Act, los estándares armonizados cobran mayor importancia una vez que se citan formalmente en el Diario Oficial. Cuando están ausentes o son incompletos, la Comisión puede recurrir a especificaciones comunes, y los proveedores pueden necesitar justificar otros medios técnicos. Los instrumentos internacionales también pueden variar en cuanto a su fuerza. Algunos, como las recomendaciones de la OECD, están diseñados para orientar la política sin fuerza vinculante. Un tratado o una ley, en cambio, solo vincula dentro de su propio ámbito jurídico.
El enfoque operativo más prudente es evitar ambos extremos: no desestimar el derecho indicativo por ser no vinculante, y no asumir que un estándar reconocido responde automáticamente a todas las cuestiones jurídicas.
Próximos pasos
Comience clasificando todos los instrumentos de IA relevantes en los que se apoya la organización en tres categorías: derecho vinculante, orientaciones no vinculantes y estándares. A continuación, decida quién es responsable de cada categoría. Los equipos jurídicos y de política pública deben hacer seguimiento del derecho vinculante y las orientaciones oficiales; los equipos de gobernanza, seguridad, producto y garantía deben decidir qué estándares o marcos adoptar y por qué.
A continuación, elabore un único mapa de evidencia en lugar de tres programas separados. Para cada caso de uso de IA relevante, identifique las obligaciones jurídicas, las orientaciones que explican las expectativas del regulador o del mercado, los estándares o marcos que se utilizarán para gestionar los controles, y los documentos que deben poder presentarse cuando se soliciten. Por último, revise los contratos y las condiciones de contratación. Muchas organizaciones descubren que sus obligaciones reales en materia de IA provienen no solo de los reguladores, sino también de clientes empresariales que esperan garantías basadas en estándares y una gobernanza documentada.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿El derecho vinculante es siempre legislación nacional?
No. También puede incluir reglamentos de aplicación directa, decisiones vinculantes y obligaciones derivadas de tratados, según el sistema jurídico.
¿Son jurídicamente vinculantes los Principios de IA de la OECD?
No. Son una recomendación intergubernamental y operan como derecho indicativo, aunque son influyentes en el diseño de políticas nacionales y en la alineación internacional.
¿Es el AI RMF del NIST un estándar?
No en el sentido formal de ISO o IEC. Es un marco voluntario emitido por NIST y se entiende mejor como orientación oficial o material de gobernanza de tipo derecho indicativo.
¿Puede un estándar de IA voluntario volverse obligatorio?
Sí, en determinados contextos. Una ley puede remitir a él, un regulador puede reconocerlo, o un contrato o proceso de contratación puede exigirlo.
¿Garantiza la aprobación regulatoria el uso de un estándar reconocido?
No. Puede mejorar la evidencia y la gobernanza, y en algunos regímenes puede respaldar una presunción de conformidad para determinados requisitos, pero la obligación jurídica subyacente sigue siendo relevante.
¿Cuál es la diferencia entre un estándar de IA y la certificación?
El estándar es el reglamento. La certificación es la garantía escrita de un organismo independiente de que un producto, servicio o sistema de gestión cumple los requisitos especificados.
¿Qué debería preguntar primero un consejo de administración?
Preguntar qué obligaciones de IA son jurídicamente vinculantes para la organización, qué orientaciones ha decidido seguir, qué estándares utiliza y qué evidencia existe para cada caso de uso de IA relevante.
Fuentes
Types of EU law (). The difference between binding regulations, directives and decisions, and non-binding recommendations and opinions.
Regulation (EU) 2024/1689, Artificial Intelligence Act (). A current example of hard law in AI, including documentation duties, declarations of conformity, harmonised standards, common specifications and codes of practice.
Standardisation of the AI Act (). That harmonised standards under the EU AI Act remain voluntary, but can provide legal certainty and a presumption of conformity once cited in the Official Journal.
Artificial Intelligence Risk Management Framework, AI RMF 1.0 (). The voluntary character of the AI RMF and its governance, mapping, measuring and managing structure.
Recommendation of the Council on Artificial Intelligence (). An intergovernmental soft law instrument that sets principles and policy recommendations for trustworthy AI.
Artificial intelligence (). The breadth of the ISO AI standards landscape, including terminology, risk management, impact assessment, governance and life cycle topics.
ISO/IEC 42001:2023, AI management systems (). A formal AI management system standard and an example of how AI standards translate governance expectations into a structured management system.
Certification (). The meaning of certification as independent written assurance and the point that certification can become a legal or contractual requirement.